如何在不使用预签名 URL 的情况下在 s3 私有存储桶中创建 s3 对象 public

Question

我有一个具有以下策略的 s3 存储桶

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "VisualEditor0",
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",
            "s3:GetObject",
            "s3:ListBucket",
            "s3:DeleteObject"
        ],
        "Resource": [
            "arn:aws:s3:::bucket",
            "arn:aws:s3:::bucket/*"
        ]
    }
]

}

存储桶 public 访问也被阻止。这是存储桶策略的快照

基本上我希望存储桶是私有的，以防止未经授权的用户上传文件，但我想授予任何用户public读取存储桶内对象的权限

Answer 1

您似乎希望允许 任何人 检索对象，但不应允许他们做任何其他事情。

有两种方法可以实现：

1.使用 ACL

您可以将 public-read ACL 分配给各个对象。这还需要为两个 ACL 相关选项停用 S3 Block Public 访问权限。

这样，您的存储桶将保持私有，但如果对象的名称已知，则可以访问这些对象。（列表未启用。）

2。使用存储桶策略

此策略将允许任何人访问存储桶中的对象：

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::my-bucket/*"
    }
  ]
}

它将允许任何获取对象的尝试，但不允许列出、删除等

对于上述两个选项，如果您希望“授权”用户能够执行上传和删除对象等操作，那么这些权限应该直接分配给 IAM 用户（不使用 S3 存储桶策略）。

如何在不使用预签名 URL 的情况下在 s3 私有存储桶中创建 s3 对象 public

How to make an s3 object public in s3 private bucket without using presigned URLs

amazon-web-services

amazon-s3

policy

bucket